สธ. ยอมรับ ข้อมูลคนไข้ถูกแฮ็กจริง ขอโทษ ปชช.-ยันไม่มีการเรียกค่าไถ่

ก.สาธารณสุข ขอโทษประชาชน กรณีข้อมูลผู้ป่วย รพ.เพชรบูรณ์ รั่วไหล ขอให้ประชาชนวางใจ ไม่ใช่ข้อมูลเชิงลึก และไม่มีการเรียกค่าไถ่แต่อย่างใด เตรียมร่วมกับ ก.ดิจิทัลเพื่อเศรษฐกิจและสังคม สร้างศูนย์ตอบโต้พร้อมรับปัญหาในอนาคต

วันที่ 7 ก.ย. 2564 นพ.ธงชัย กีรติหัตถยากร รองปลัดกระทรวงสาธารณสุข แถลงขอโทษประชาชน กรณีมีข้อมูลผู้ป่วยถูกนำมาเผยแพร่ในสื่อออนไลน์ โดยยอมรับว่า จากการตรวจสอบพบ ข้อมูลถูกแฮ็กเป็นระบบข้อมูลผู้ป่วยของ รพ.ใน จ.เพชรบูรณ์ ที่ทางเจ้าหน้าที่ดำเนินการทำโปรแกรมขึ้นมาใหม่ เพื่ออำนวยความสะดวกในการดูแลคนไข้ ซึ่งมีเพียงชื่อ-สกุล เบอร์โทรศัพท์ รายละเอียดวันนัดตรวจ หรือ วันเข้ารับการรักษา สิทธิการรักษา ไม่มีประวัติการรักษา หรือ ข้อมูลโรคแต่อย่างใด

ทั้งนี้ มีข้อมูลรายชื่อกว่า 10,095 รายชื่อ นอกจากนั้น เป็นข้อมูลเจ้าหน้าที่แพทย์ พยาบาล 692 ราย สำหรับการจัดตารางเวรการทำงานและข้อมูลการจัดซื้ออุปกรณ์ ค่าใช่จ่ายการผ่าตัด เท่านั้น

โดยยืนยันว่า ข้อมูลที่มีการรั่วไหลทั้งหมดไม่ใช่ข้อมูลหลักในฐานข้อมูลของโรงพยาบาล แต่เป็นเพียงข้อมูลใหม่ที่อยู่ในเซิร์ฟเวอร์เดียวกัน ซึ่งประเด็นดังกล่าว ทางกระทรวงสาธารณสุข ได้รับทราบแจ้งเหตุตั้งแต่วันอาทิตย์ (5 ก.ย.) ช่วงบ่าย และได้ดำเนินการประสาน กระทรวงดิจิทัลเพื่อเศรษฐกิจและสังคม (ดีอีเอส) ลงพื้นที่ตรวจสอบ และระงับการใช้ข้อมูลในทันที

ทั้งนี้ ได้แจ้งความเพื่อดำเนินคดีตามกฎหมายกับผู้ก่อเหตุ เท่าที่ทราบ คือ กลุ่มแฮ็กเกอร์ตระเวนทำไปเรื่อยไม่ได้เจาะจง หรือ เลือกเฉพาะข้อมูลของคนไข้โรงพยาบาล โดยก่อนหน้านี้ พบว่า มีการแฮ็กข้อมูลระบบการรักษาของ รพ.สระบุรี ซึ่งทำให้ไม่สามารถใช้ระบบได้ และในครั้งนั้น เป็นการแฮ็กข้อมูลเพื่อเรียกค่าไถ่ แต่ครั้งนี้เป็นการแฮ็ก เพื่อนำเอาข้อมูลไปขายเท่านั้น ยืนยัน ไม่กระทบต่อระบบข้อมูลของโรงพยาบาล ยังสามารถใช้งานได้ตามปกติ

ด้าน นพ.อนัน กนกศิลป์ ผู้อำนวยการศูนย์เทคโนโลยีสาระสนเทศและการสื่อสาร ระบุว่า เซิร์ฟเวอร์ที่เป็นปัญหา เป็นเซิร์ฟเวอร์ที่แยกออกมาจากเซิร์ฟเวอร์หลักของโรงพยาบาล โดยศูนย์เทคโนโลยีความปลอดภัยทางไซเบอร์ ร่วมกับ ศูนย์ความปลอดภัยทางเทคโนโลยี กระทรวงสาธารณสุข ได้เข้าตรวจสอบระบบทำการปิดระบบและตัดอินเตอร์เน็ตแล้ว

ทั้งนี้ ได้มีการจัดตั้งศูนย์เฝ้าระวังความปลอดภัยข้อมูลทางไซเบอร์ ในภาคสุขภาพ และ หน่วยงานตอบโต้สถานการณ์ฉุกเฉินขึ้นมาเพื่อจัดการปัญหาดังกล่าว เพื่อป้องกันปัญหาที่จะเกิดขึ้นในอนาคต

ขณะที่ นายสุทธิพงษ์ วสุโสภาพล รองเลขาธิการคณะกรรมการสุขภาพแห่งชาติ กล่าวว่า สำหรับความคุ้มครองข้อมูลส่วนบุคคลด้านสุขภาพ ซึ่งมี พ.ร.บ.สุขภาพ พ.ศ. 2550 มาตรา 7 ระบุว่า ข้อมูลสุขภาพส่วนบุคคลเป็นความลับส่วนบุคคล ผู้ใดจะนำไปเปิดเผยประกาศทำให้บุคคลนั้นเสียหายมิได้ เว้นแต่ว่าการเปิดเผยนั้นเป็นไปตามความประสงค์ของบุคคล แต่มาตรานี้ยอมความได้

จากกรณีดังกล่าวเห็นได้ชัดเจนว่าอาจทำให้เกิดความเสียหายแก่ผู้ป่วยได้ ดังนั้น การกระทำลักษณะหากมีความเสียหายเกิดขึ้น ในมาตรา 49 มีโทษจำคุกไม่เกิน 6 เดือน หรือ ปรับไม่เกิน 10,000 บาท หรือทั้งจำทั้งปรับ

นอกจากนี้ ยังมีกฎหมายอื่น ๆ เกี่ยวข้อง เช่น พ.ร.บ.คอมพิวเตอร์ หรือ พรบ.ข้อมูลข่าวสารส่วนบุคคล